La mise à jour de sécurité Windows 11 KB5127648, publiée le 13 octobre 2026, peut affecter certaines connexions Wi-Fi, Ethernet ou VPN d’entreprise utilisant l’authentification MS-CHAPv2 avec le SSO. Le changement dépend de deux conditions : Credential Guard doit être désactivé et la valeur de registre BlockNtlmv1SSO doit être absente. Microsoft décrit un risque pour certains scénarios, pas une panne générale des réseaux. Les notes de Microsoft sur KB5127648 précisent que la mise à jour concerne Windows 11 24H2, 25H2 et 26H2.
Un autre avis lié à cette mise à jour concerne le Bureau à distance : nous l’avons abordé dans notre précédent article sur KB5127648.
Quand l’authentification réseau peut être concernée
NTLMv1 est un ancien mécanisme lié à l’authentification Windows. Dans certains scénarios, une connexion réseau s’appuie sur des identifiants dérivés de NTLMv1 pour le SSO, ou « authentification unique », qui évite de saisir ses identifiants à chaque connexion. Microsoft cite des configurations MS-CHAPv2, notamment PEAP-MSCHAPv2 et EAP-MSCHAPv2, sur des connexions Wi-Fi, Ethernet ou VPN. Sa documentation technique explique que, sur les appareils concernés, la valeur par défaut passe du mode Audit au mode Enforce.
Le changement s’applique si Credential Guard est désactivé et si BlockNtlmv1SSO n’est pas défini. Quand cette valeur est absente, KB5127648 ne la crée pas : Windows utilise en interne Enforce comme valeur par défaut dans cette configuration.
Sur Microsoft Q&A, un administrateur a signalé un échec d’authentification WPA2-Enterprise 802.1X/PEAP après l’installation de KB5127648. Il a indiqué que WPA2-Personal continuait de fonctionner et que la désinstallation de la mise à jour avait rétabli la connexion sur ses systèmes. D’autres participants ont rapporté un rétablissement après avoir défini BlockNtlmv1SSO sur 0. Ces observations sont des signalements d’utilisateurs.
Valeurs de registre et événements à connaître
Microsoft indique que BlockNtlmv1SSO est une valeur REG_DWORD située ici : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. La valeur choisie détermine si la demande d’identifiants dérivés de NTLMv1 est autorisée ou bloquée.
| Mode | Valeur de BlockNtlmv1SSO | Traitement de la demande | Événement Windows |
| Audit | 0 | Demande autorisée et journalisée | 4024, avertissement |
| Enforce | 1 | Demande bloquée | 4025, erreur |
Microsoft précise qu’aucun redémarrage n’est nécessaire après la modification de cette valeur. En mode Enforce, la saisie manuelle des identifiants reste possible, selon sa documentation. Passer à Audit permet donc à la demande concernée d’aboutir tout en la journalisant, mais réduit la protection par rapport à Enforce. Microsoft recommande de réserver ce mode à une exception ciblée et temporaire.
Le correctif Always On VPN répond à un autre problème
KB5127648 corrige aussi un problème de connexion Always On VPN apparu après KB5124008, dans des configurations utilisant la sélection automatique du protocole ou le basculement vers un autre protocole. Microsoft répertorie ce correctif dans les notes de la mise à jour. Il concerne un scénario distinct du possible effet du changement NTLMv1 sur le SSO MS-CHAPv2.
